LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

LNK Stomping: ярлыки .lnk обходят MoTW и защиту Windows

Исследователи рассказали о новом приёме киберпреступников под названием LNK Stomping, который позволяет обходить защитные механизмы Windows (Mark of the Web) и запускать вредоносные ярлыки без предупреждений системы. Речь идёт о файлах ярлыков (.lnk), которые давно стали популярным инструментом для атак.

Особенно характерна эта тенденция после того как Microsoft в 2022 году ужесточила правила блокировки макросов.

Обычно такие ярлыки распространяют через вложения в письмах или архивы, маскируя их под документы. При запуске они вызывают «доверенные» системные утилиты вроде PowerShell или cmd.exe, что затрудняет выявление угрозы.

Чтобы бороться с этим, в Windows работает защита Mark of the Web (MoTW), которая отмечает скачанные из интернета файлы специальным метаданными. Именно на основе этих меток SmartScreen и Smart App Control проверяют репутацию файла и предупреждают пользователя.

Но приём LNK Stomping, описанный Elastic Security Labs, ломает эту логику. Он эксплуатирует ошибку в процессе обработки ярлыков Проводником Windows: система «нормализует» пути внутри ярлыка и пересохраняет его заново, при этом метка MoTW пропадает. В результате файл выглядит безопасным, и защита его больше не блокирует.

 

Исследователи выделяют три основных способа внедрения ошибок в структуру ярлыка:

  • PathSegment — весь путь указывается как один элемент массива,
  • Dot — добавляются точки или пробелы в путь,
  • Relative — используется только имя файла без полного пути.

В тестах Elastic Security Labs заражённые ярлыки без этой техники блокировались Smart App Control, а с LNK Stomping запускались без предупреждений.

Уязвимость получила номер CVE-2024-38217 и была закрыта патчем в сентябре 2024 года. Но интересен факт: на VirusTotal нашли образцы с LNK Stomping, загруженные ещё шесть лет назад, что говорит о долгой подпольной эксплуатации.

CISA включила уязвимость в список активно эксплуатируемых, что подтверждает её использование в реальных атаках. Хотя конкретным группам эта техника пока не приписана, угрозу называют «постоянной, а не теоретической».

Эксперты советуют организациям убедиться, что обновления от сентября 2024 года установлены, и внедрять поведенческие правила для обнаружения подозрительных ярлыков, ведь простые сигнатурные методы тут уже не помогут.

Своя нейросеть, свой сервер: Selectel показал ИИ-админа без облачных рисков

Selectel решил, что системным администраторам надоело гуглить ошибки в три часа ночи, и выкатил aish — своего ИИ-агента, встроенного прямо в серверную ОС SELECTOS. Задумка кроется в том, чтобы не таскать логи и конфиги куда-то в облако к третьим лицам, а разбираться со всем на месте, без утечек и лишних глаз.

Aish здесь позиционируется не как отдельная игрушка, а как встроенный помощник для команд эксплуатации.

Агент умеет разбираться в контексте системы: смотрит на состояние сервисов, логи, конфигурацию — то есть видит примерно то же, что видел бы живой админ. На практике это значит разбор инцидентов, поиск причины, по которой очередной сервис лёг, и рутинные операции.

Отдельно Selectel налегает на принцип согласованного исполнения: агент не творит самодеятельность. Он формирует команду, объясняет, что именно она сделает, а запускает её всё равно оператор-человек.

Главный аргумент в пользу решения — безопасность данных. Большинство ИИ-агентов на рынке сегодня облачные, а значит, контекст сессии — логи, конфиги, детали инфраструктуры — улетает к внешнему провайдеру.

Для компаний с жёсткими политиками безопасности это форменный кошмар: и утечка возможна, и аудит толком не проведёшь. Aish эту головную боль снимает: нейросеть развёрнута локально, на серверах Selectel.

Как отметил Кирилл Дмитриев, директор департамента системного ПО Selectel, aish задумывался как способ снизить порог входа в системное администрирование Linux; специально для команд, которым по политикам безопасности запрещено использовать зарубежные LLM.

При этом SELECTOS доступна в форматах ISO, QCOW2 и в виде контейнерных образов, работает на облачных и выделенных серверах, соответствующих 152-ФЗ, а благодаря Debian-базе переход на неё не требует переобучения. Команда просто пересаживается на знакомый руль, только теперь с ИИ-помощником на подхвате.

RSS: Новости на портале Anti-Malware.ru